Esta herramienta, desarrollada fundamentalmente en países anglosajones, implica hacer un ejercicio de análisis de los riesgos que un producto o servicio puede implicar para la protección de datos de los usuarios, orientado a adoptar las medidas que sean necesarias para eliminar o mitigar dichos riesgos. Aunque actualmente no hay obligación legal de hacerlas, la propuesta de Reglamento europeo de protección de datos contempla casos en que sí lo será.